Cada petición a un nombre con proxy se inspecciona en los nodos de borde de OpenWAF, en Alemania y España, antes de llegar a tu origen. El WAF combina:
- OWASP CRS 4.25 sobre Coraza, más reglas propias de OpenWAF (ficheros sensibles, recorrido de rutas, evasión por codificación, request smuggling, huellas de escáneres) y parches virtuales de emergencia para CVE nuevos.
- Escudos por tecnología: ocho protecciones concretas, como SSRF, redirecciones abiertas, source maps o la introspección de GraphQL, que se pueden apagar por ruta.
- Listas de amenazas que bloquean las direcciones de atacantes conocidos.
- Reglas por IP y por país, límites de peticiones y una puerta de acceso que protege las rutas de administración con códigos de un solo uso enviados por correo.
Tú decides, por zona o por nombre, lo estricto que es el WAF y si bloquea o solo registra.
Primeros pasosempieza en modo solo observar, revisa lo que se bloquearía y después protege.Modos y nivelesactivo, solo registro o apagado, y qué significan los niveles bajo, medio y alto.Cómo se procesa una peticiónel orden en que el borde aplica cada comprobación.Escudos por tecnologíalos ocho escudos, sus identificadores y lo que bloquean.Listas de amenazaslistas mantenidas de direcciones de atacantes, activadas por defecto.Reto de navegadorla página de prueba de trabajo que los navegadores reales superan solos.Excepciones del WAFapaga una regla o un escudo en una ruta cuando bloquea tráfico legítimo.Reglas por IP y por paíspermite o bloquea direcciones, rangos y países.Límites de peticioneslimita las peticiones por IP, cabecera, cookie o campo JSON en una ruta.Puerta de accesoprotege una zona de administración con códigos enviados por correo.Página de bloqueoelige qué ven los visitantes bloqueados.Referencia de ajustescada ajuste del WAF, sus valores y su valor por defecto.Referencia de reglaslos cuatro tipos de regla y sus campos.Respuestas y cabeceras del bordelos códigos que responde el borde y las cabeceras que añade o quita.Solución de problemasfalsos positivos, accesos de WordPress bloqueados, subidas grandes.
Dónde encontrarlo
| Interfaz | Ajustes | Reglas |
|---|---|---|
| Panel | Dominio → Seguridad → Firewall, Seguridad → Límites de peticiones, Seguridad → Puerta de acceso | Seguridad → Firewall → Reglas |
| CLI | zones show, zones set, ratelimit list/add/set/rm | rules list, rules add, rules rm |
| API | GET/PATCH /v1/orgs/{org}/zones/{zone}/edge | GET/POST /v1/orgs/{org}/zones/{zone}/rules, DELETE …/rules/{rule} |
| MCP | get_zone, update_settings, effective_config | list_rules, add_rule, remove_rule |
Cada cambio queda versionado: primero se simula, necesita un motivo y se puede revertir. Consulta Control de cambios. Las peticiones bloqueadas y registradas aparecen en los eventos de seguridad.